Claude Mythos setter patchtempoet på prøve i Singapore

Claude Mythos Preview er foreløpig ikke lansert som et offentlig verktøy. Likevel har den rapporterte kapasiteten allerede endret tidsplanen for cybersikkerhetsarbeidet i Singapore. Anthropic sier at modellen og rundt 50 innledende partnere i Project Glasswing har funnet mer enn 10 000 sårbarheter med høy eller kritisk alvorlighetsgrad i systemkritisk programvare.

Hovedproblemet er ikke nødvendigvis en helt ny type cyberangrep. Det er at oppdagelse av sårbarheter, utvikling av utnyttelseskode og kartlegging av mål kan gå raskere, bli billigere og skaleres langt bredere. Dermed får forsvarerne mindre tid til å finne utsatte systemer, installere sikkerhetsoppdateringer og begrense et innbrudd.

Hva skal Claude Mythos ha demonstrert?

Anthropic opprettet Project Glasswing for å gi utvalgte teknologi- og infrastrukturselskaper en kontrollert mulighet til å bruke Claude Mythos Preview til å finne og rette svakheter før de kan utnyttes bredt. Modellen ble ikke gjort tilgjengelig som et generelt offentlig verktøy, nettopp fordi kraftige funksjoner for sårbarhetsforskning kan få alvorlige konsekvenser i feil hender.

Rapporter knyttet til programmet sier at Mythos har identifisert sårbarheter i store nettlesere og operativsystemer, inkludert feil som skal ha vært skjult i flere år. Modellen er også omtalt som i stand til å utvikle angrepsbaner eller kode for å utnytte svakheter autonomt.

I en egen oppdatering opplyser Anthropic at Mythos er brukt til å skanne mer enn 1 000 åpen kildekode-prosjekter. Selskapet anslår at modellen fant 6 202 sårbarheter med høy eller kritisk alvorlighetsgrad blant svakhetene i disse prosjektene. Tallene beskriver rapporterte funn. De er ikke bevis på at hvert funn kan utnyttes i praksis, eller at modellen kan kompromittere alle berørte systemer.

Hvorfor angår dette virksomheter i Singapore?

De mest utsatte systemene er typisk de som er tilgjengelige fra internett eller koblet til miljøer med høy verdi, blant annet:

• fjernaksessløsninger og administrative grensesnitt;
• identitets-, skyadministrasjons- og systemer for privilegert tilgang;
• utviklings- og leveransepipelines samt avhengigheter fra tredjeparter;
• kundeportaler, applikasjoner og API-er; og
• kritisk informasjonsinfrastruktur og andre samfunnsviktige tjenester.

Hvis en svakhet oppdages og gjøres om til et fungerende angrep raskere, kan konsekvensene bli datatyveri, driftsstans, løsepengevirus, svindel eller videre spredning i virksomhetens nettverk. KI kan også hjelpe angripere med å produsere overbevisende phishing, identitetssvindel, stemmekloner og deepfakes i stor skala – og støtte forsøk på å omgå autentiseringskontroller.

Singapores Cyber Security Agency (CSA) har advart om at autonome KI-systemer kan forkorte tiden det tar å gjennomføre angrep og senke kompetansebarrieren for mindre erfarne angripere. Det gjør tiden fra sårbarhet til patch, beskyttelse av privilegerte kontoer og hastigheten på oppdagelse og respons viktigere enn antakelsen om at en angriper alltid trenger lang tid på å forberede seg.

Dette bør sikkerhetsteam gjøre nå

1. Installer oppdateringer på de mest utsatte systemene først

CSAs rådgivning om grenseflyttende KI-modeller prioriterer utbedring av alle kritiske sårbarheter og sårbarheter med høy alvorlighetsgrad på internettilkoblede systemer. Disse ressursene er mest utsatt for automatiserte angrep og kan gi omfattende skade dersom de kompromitteres.

Virksomheter bør ha en oppdatert oversikt over maskinvare, programvare, skytjenester og eksterne angrepsflater. De bør identifisere systemer som ikke lenger støttes, installere leverandørenes sikkerhetsfikser raskt og kontrollere at utbedringen faktisk lyktes. Hvis en umiddelbar patch ikke er mulig, bør systemet isoleres, tilgangen begrenses eller andre kompenserende tiltak settes inn mens en permanent løsning forberedes.

2. Bruk MFA på privilegerte og eksternt tilgjengelige systemer

Flerfaktorautentisering (MFA) bør være aktivert på administrative grensesnitt, fjernaksessløsninger, sky-konsoller og andre kontoer med høy verdi. CSA anbefaler sterkere, phishing-resistente metoder – som maskinvaretoken eller biometri – fremfor SMS- eller e-postkoder når det er mulig.

MFA er et viktig sikkerhetslag, men kan ikke erstatte patching. En sårbarhet kan i enkelte tilfeller åpne for tyveri av sesjoner, omgåelse av autentisering eller tilgang gjennom en eksponert tjeneste. Identitetskontroller må derfor kombineres med sikker konfigurasjon og raske oppdateringer.

3. Begrens unødvendig tilgang

Avslutt eller fjern inaktive kontoer, skill mellom vanlige brukeridentiteter og administratoridentiteter, begrens rettighetene til tjenestekontoer og gjennomgå tilgangen til leverandører, API-er og tredjeparter. Administrative rettigheter bør logges og, når det er praktisk mulig, bare gis i den perioden en konkret oppgave krever.

Slike tiltak begrenser skadeomfanget dersom en angriper får tak i en innloggingsopplysning eller kompromitterer et utviklings-, sky- eller identitetsmiljø.

4. Overvåk bedre og øv på rask inngripen

Samle relevante logger fra identitetsløsninger, endepunkter, nettverk og skyplattformer på ett sted. Deteksjonsregler bør fange opp uvanlige innlogginger, endringer i privilegier, tilgang fra ukjente steder, uventet administrativ aktivitet og mistenkelige endringer i programvare eller leveransepipelines.

Beredskapsteam bør øve på et scenario med rask utnyttelse av en sårbarhet. Øvelsen bør blant annet dekke isolering av maskiner, deaktivering av kontoer, blokkering av ondsinnet trafikk, kontakt med leverandører og sikring av bevis. Testede sikkerhetskopier som er frakoblet eller uforanderlige, kan redusere virkningen av løsepengevirus og destruktive angrep.

Slik bygger virksomheter mer motstandskraft over tid

Gjør sikkerhetsoppdateringer enklere å rulle ut

Målet er ikke bare å finne flere sårbarheter. Virksomheten må ha en forutsigbar kjede fra oppdagelse og prioritering til testing, trinnvis utrulling, verifisering og eventuell tilbakeføring. Automatisering kan korte ned forsinkelsen før en patch er på plass, samtidig som risikoen for at en hasteløsning skaper driftsstans blir mindre.

Styret og toppledelsen bør følge praktiske mål som alderen på kritiske sårbarheter i internettilkoblede systemer, tid til utbedring, hvor stor andel privilegerte kontoer som er beskyttet, og tiden fra oppdagelse til inngripen.

Bruk KI defensivt – med tydelige sikkerhetsrammer

KI-støttet kodegjennomgang, analyse av programvarekomponenter, kartlegging av angrepsflaten og prioritering av sårbarheter kan hjelpe sikkerhetsteam med å behandle flere funn. Samtidig må virksomheten kontrollere KI-genererte resultater, beskytte kildekode og sensitive data som sendes til verktøyene, begrense modellens rettigheter og kreve menneskelig godkjenning før endringer går i produksjon.

KI bør styrke en etablert sikkerhetsprosess, ikke bli en ubemannet operatør med bred tilgang til kode, passord eller infrastruktur.

Styrk beskyttelsen av kritisk infrastruktur

Eiere og operatører av kritisk informasjonsinfrastruktur trenger lagdelte sikkerhetstiltak, nettverkssegmentering, kontinuerlig inntrengingsdeteksjon, kontroll av leverandører og regelmessige kriseøvelser. Singapore har også varslet sterkere deteksjon av trusler og samarbeid med skyleverandører for å hjelpe eiere av kritisk infrastruktur med å sikre systemene sine.

Det samme gjelder virksomheter som er avhengige av kritiske leverandører. En sårbarhet i en felles plattform, en driftstjeneste eller en programvareavhengighet kan skape risiko langt utenfor én enkelt virksomhets grenser.

Hev den daglige cybersikkerheten

Opplæring av ansatte bør ta opp KI-forsterket phishing, identitetssvindel og deepfakes. Bevisstgjøring må likevel kombineres med gode prosesser. Betalinger eller endringer i kontoopplysninger med høy risiko bør kreve uavhengig bekreftelse gjennom en kjent og pålitelig kanal. Ansatte må også ha en enkel måte å rapportere mistenkelige meldinger og forespørsler på.

Hva bør finanssektoren prioritere?

For finansinstitusjoner fremhever Monetary Authority of Singapore (MAS) behovet for ekstra verifisering av høyrisikotransaksjoner og ansatte med privilegert tilgang. Det omfatter MFA for kontoer med høye rettigheter og for sensitive aktiviteter. MAS peker også på kontroller som såkalt «liveness detection» og sterkere verifisering for å motvirke svindel ved hjelp av deepfakes.

MAS og Association of Banks in Singapore har senere opprettet en bransjegruppe for å styrke den samlede motstandsdyktigheten mot cyber- og teknologirisiko knyttet til KI-drevne trusler. Det illustrerer en bredere lærdom fra grenseflyttende KI: Hver virksomhet trenger solide kontroller, men informasjonsdeling, koordinert respons og øvelser på tvers av sektoren blir også nødvendig når flere aktører bruker de samme leverandørene og plattformene.

Konklusjonen: Tid er blitt et sikkerhetstiltak

Den rapporterte betydningen av Claude Mythos Preview er at modellen kan komprimere tiden mellom oppdagelse av en sårbarhet og utnyttelse av den. Kunnskapsgrunnlaget støtter først og fremst et skifte i tempo og skala for eksisterende offensive teknikker – ikke at modellen har skapt helt nye kategorier av cyberangrep.

For virksomheter i Singapore er det mest håndfaste svaret derfor åpenbart: Oppdater eksponerte, kritiske systemer raskt, bruk phishing-resistent MFA, reduser privilegier, overvåk kontinuerlig, øv på masseutnyttelse og bruk KI til å styrke forsvaret uten å gi fra seg menneskelig kontroll.

I et trusselbilde der KI øker farten, er patchtid og responstid ikke lenger bare interne IT-måltall. De er sentrale mål på virksomhetens motstandskraft.